Risk Analysis of Information Systems by Agent-based Modeling of Business Processes

159 Pages·2010·3.62 MB·English

ETH Library
Risk analysis of information
systems by agent-based modeling
of business processes
Doctoral Thesis
Author(s):
Kaegi, Manuel
Publication date:
2009
Permanent link:
https://doi.org/10.3929/ethz-a-006104436
Rights / license:
In Copyright - Non-Commercial Use Permitted
This page was generated automatically upon download from the ETH Zurich Research Collection.
For more information, please consult the Terms of use.
Diss. ETH No. 18682
Risk Analysis of Information Systems
by Agent-based Modeling of Business
Processes
A dissertation submitted to the
SWISS FEDERAL INSTITUTE OF TECHNOLOGY
ZURICH
for the degree of
Doctor of Sciences
presented by
MANUEL KAEGI
Dipl. Phys. Uni. Bern
born 14 February 1975
citizen of Bauma - Switzerland
accepted on the recommendation of
Prof. Dr. W. Kröger, examiner
Prof. Dr. E. Zio, co-examiner
Dr.-Ing. R. Mock, co-examiner
2009

Acknowledgements
This thesis is the result of the research work I have carried out at the Laboratory for
SafetyAnalysis(LSA)between2004and2008. Itisco-financedbytheSwissInnovation
Promotion Agency (KTI/CTI) in cooperation with major Swiss enterprises.
First of all, I would like to thank my doctoral co-advisor, Dr.-Ing. Ralf Mock, for his great
support. He was a perfect guide on the way trough my thesis and a very competent
advisorduringallmywork. HewasonmysidewheneverIfacednewchallengesduring
this work and his experience in many fields of science and application where always
of great value. Above all it has to be mentioned, that Ralf continued supporting me for
more than one year even after he left the LSA which I appreciated very much.
A special thank I would like to extend to my doctoral advisor, Prof. Dr. Wolfgang Kröger
director of LSA, for having accepted, supported and lead my research work. I am very
grateful for the valuable dialogues, careful work reviews as well as for providing the
opportunity to work in a well organized and inspiring environment.
During my research activity at ETH Zurich, I enjoyed great support of many People to
which I all owe a dept of gratitude. My very special thanks are extended to Roberto Ni-
bali and Ruth Ziegler for the support and instructions in Java programming and a great
collaboration within a KTI/CTI-Project. Further more, I’d like to thank Markus Schläpter
for being a very nice fellow and roommate at LSA and of course for all the fruitful dia-
loguesandsharedprojects. MoreoverIwouldliketoextendmythankstoSigridWagner
and Domenico Salvati for all the inspiring discussions and for their contribution to the
very agreeable atmosphere at the LSA.
My Wife Lisa Morgenthaler and my colleges of basisnote AG I’d like to thank for their
support and patience.
i

Abstract
Today, many business processes are based on information systems, i.e., on complex
and dynamic networks composed of hardware and software. The failure-free perfor-
mance of such systems is often essential for the successful business result of affected
companies. Therefore, these systems must not fail. To ensure, that the right invest-
ments are made, it is recommended to evaluate costs and benefits of each action.
Thereby, frequencies and consequences (risk) of failures should be minimized. Estab-
lishedriskanalysismethodsofinformationsystemsfaceshigherandhigherchallenges
andrequirementsdaybyday. Commontechniquesareoftenapplicableonlytoalimited
extend.
This thesis was accomplished in the context of a Swiss CTI-project1 together with part-
nersfromtheindustry2,publicauthorities3 andacademia4. Themaingoalofthisproject
wastodevelop,testandimplementasimulationbasedapproachforinformationsystem
risk analysis.
The proper identification of risks within an existing information system has to account
for many influence factors. On the technical side, this comprises the consideration of
the (complex) network architecture, the failure mechanisms of components (computer,
printer, etc.) and the interdependencies among hardware and software among others.
The established risk analysis methods like check-lists, audits or even simulations are
not able to handle this complex situations.
The problem specifications on the part of the CTI-project includes to develop an ap-
proach for risk analysis of information systems, which is tailored to the needs of com-
1CTIistheSwissConfederation’sinnovationpromotionagency. Itsupportstheknowledgeandtech-
nology transfer between companies and universities by bringing them together as partners on applied
researchanddevelopmentprojects. (www.kti-cti.ch)
2InfoGuard,cablecom,ZobristAG
3thegovernor’sofficeofAargau, theSwissFederalStrategyUnitforITandtheSwissFederalOffice
forNationalEconomicSupply
4ETHZurich/LaboratoryforSafetyAnalysis,HTALuzern/InstituteforSecureSoftware
iii
mon companies. Therefore, the analysis procedure should start by the capturing of
all business processes linked to the corresponding information system. These non-
technical processes are often well known within the companies and they affect directly
theirbusinessgoals. Theideais,tofirsttransformthemultilayeredsequencesandlinks
in a sequence diagram, which shall serve as a basis for setting up of an agent-based
simulation model
Within this work, tree key aspects of the development of the demanded simulation ap-
proach are documented: 1) The selection of a suitable business process modeling
language and their extension for risk analysis purposes. 2) An extensive feasibility
studytodemonstratethefeasibilityofagent-basedmodelingforriskanalysisand3)the
developed meta-model and its programmed interface for performing computer based
simulation. All three key subjects are complemented with case-studies to illustrate the
feasibility.
From a scientific point of view, the middle part of this thesis is the most attractive one.
The integration of agent-based modeling in risk analysis opens a wide spectrum for
research and development. Within this thesis, it is demonstrated for instance, that
agent-basedmodelsareapplicableforthemodelingofcomplexsystemsalsointhefield
of risk analysis, although it is almost not used in this field. Especially the capability of
reproducing (real) complex system behavior with an agent-based computer simulation
is regarded as one of the major strengths of this approach. As this kind of simulations
allow the generation of risk-numbers, e.g., frequencies and consequences with ease,
they are regarded as particularly attractive in this field of application.
Throughout the development of the simulation approach for risk analysis of information
systems, one important focus was to tailor the approach to the needs of business prac-
titioners, i.e. possible future users of the compiled software. Thus, a tool has been
developed which is able to allocate weaknesses and risks in the business processes of
information systems and it highlights the potentials for process optimization. Thereby, it
is accounted for the interdependencies among processes, physical networks and com-
ponents including humans. An assortment of these "objects" is compiled in a software-
library, which can be connected by drag-and-drop to the process model. A modular
structure allows to increase the granularity of the models step by step. If the relevant
parameters of all objects are set, the risk of information system failure is computed by
simulation.
Case-studies and the collaboration with the partners of the CTI-project finally enabled
the development of a promising methodology for the application e.g. in the field of
companies security-audits.
iv
Zusammenfassung
Heutzutage basieren viele Geschäftsprozesse in Unternehmen auf Informationssyste-
men,d.h. aufkomplexen,meistdynamischenNetzwerkenausHardwareundSoftware.
Das reibungslose Funktionieren dieser Systeme ist oft essentiell für den geschäftlichen
Erfolg und daher dürfen sie möglichst nicht ausfallen. Um zu gewährleisten, dass
am richtigen Ort investiert wird, ist es sinnvoll, eine Kosten- Nutzen Abschätzung zu
machen. Dabei muss sichergestellt werden, dass Häufigkeit und Ausmass (Risiko)
von Störungen minimiert werden. Die etablierte Risikoanalytik solcher komplexer In-
formationssystemen sieht sich aber immer höheren Anforderungen ausgesetzt, denen
klassische Ansätze nur bedingt gerecht werden.
Diese Doktorarbeit entstand im Rahmen eines KTI-Projekts5 mit Partnern aus Indus-
trie6, Verwaltung7 und Hochschulen8. Das Projekt hatte zum Ziel, einen Simulations-
ansatz zur Risikoanalyse von Informationssystemen zu entwickeln, zu testen und in die
Praxis umzusetzen.
DieErmittlungvonRisikenausdemBetriebeinesInformationssystemsmussvieleFak-
toren berücksichtigen. Dazu gehören auf technischer Ebene die (komplexe) Netzwerk-
Architektur, das Ausfallverhalten von Komponenten (Computer, Drucker u.a.) und das
Wechselspiel von Geräten und Programmen. Die etablierten risikoanalytischen Me-
thoden, wie Checklisten, Audits sowie analytische Modelle und Simulationen, stossen
rasch an praktische und methodische Grenzen.
Die Vorgabe des KTI-Projekts war, einen neuartigen Ansatz der unternehmensnahen
Risikoanalytik von Informationssystemen zu entwickeln: An dessen Anfang soll die Er-
fassung der Geschäftsprozesse stehen, die zu einem Informationssystem verknüpft
5KTI ist die Förderagentur für Innovation des Bundes und unterstützt insbesondere den Technologi-
etransferzwischenUnternehmenundHochschulen. (www.kti-cti.ch)
6InfoGuard,Cablecom,ZobristAG
7Staatskanzlei Aargau, Informatikstrategieorgan Bund, Bundesamt für wirtschaftliche Landesver-
sorgung
8ETHZürich/Lab. fürSicherheitsanalytik,HTALuzern/InstitutfürSichereSoftwaresysteme
v
sind. Diese nicht-technischen Prozesse sind in den Unternehmen oft gut bekannt und
betreffen dokumentierte Unternehmensziele. Die Idee dabei ist, die vielschichtige Ab-
folgeundVerknüpfungderProzesseineinAblaufdiagrammzuübertragen, welchesals
Grundlage für eine Simulation mit Hilfe eines “Agentenbasierten Modells“ dienen soll.
Diese Arbeit dokumentiert die drei Schwerpunkte bei der Entwicklung des gesuchten
Simulationsansatzes: 1) Die Auswahl einer geeigneten Modellierungssprache für Ge-
schäftsprozesse und deren Erweiterung zum Zwecke der Risikoanalytik, 2) eine um-
fangreiche Machbarkeitsstudie über die Anwendung von “Agentenbasierten Modellen“
in dem Gebiet der Risikoanalytik und 3) das Erarbeiten eines Metamodells und die
Programmierung einer Software-Schnittstelle zur einfachen Umsetzung einer Comput-
ergestützten Simulation. Alle drei Schwerpunkte sind jeweils ergänzt mit Fallbeispielen
zur Illustration der Machbarkeit.
Aus wissenschaftlicher Sicht ist der mittlere Teil dieser Arbeit am wertvollsten. Die
Einführung der “Agentenbasierten Modellierung“ in die Risikoanalytik öffnet ein brei-
tes und spannendes Feld für Forschung und Entwicklung. Diese Arbeit liefert dabei
z.B. den Beweis, dass dieser Modellansatz zur Analyse komplexer technischer Sys-
teme auch in diesem Fachgebiet sehr gut geeignet ist, obwohl er da bisher so gut wie
nicht zur Anwendung kommt. Insbesondere die Fähigkeit, komplexes Systemverhalten
bei der Simulation zu reproduzieren, wird als eine seiner Stärken betrachtet. Weil es
dieser simulative Ansatz erlaubt, vergleichsweise einfach "korrekte" Risikokennzahlen
wie Häufigkeit und Ausmass von Ereignissen zu generieren, ist er besonders attraktiv
für dieses Fachgebiet.
Der entwickelte Simulationsansatzes zur Risikoanalyse von Informationssystemen mit-
tels Geschäftsprozessen ist sehr praxisorientiert gehalten. Es wurde ein Tool entwik-
kelt, welches in der Lage ist, durch computergestützte Simulation auf Schwachstellen,
Risiken und Optimierungspotentiale im Geschäftsablauf hinzuweisen. Dabei werden
die Abhängigkeiten der Prozesse beispielsweise von Computernetzwerken und deren
Komponenten, wozu auch Personen gehören, berücksichtigt. Eine Auswahl solcher
"Objekte" ist im Simulationstool in einer Bibliothek abgelegt und wird über "drag-and-
drop" mit dem Prozessmodell verbunden. Ein modularer Aufbau erlaubt eine beliebige
Modellierungstiefe. WerdenObjekteundProzesseüberKenngrössenzurVerfügbarkeit
und Kosten quantifiziert, folgt aus der Simulation das Gesamtrisiko (Häufigkeit und
Kosten)fürdasVersageneinesInformationssystemsdesuntersuchtenUnternehmens.
FallbeispieleunddieKooperationmitdenKTI-Partnernführtenzueinervielversprechen-
den Methodik, die vor allem für Security-Audits von Unternehmen einsetzbar ist.
vi
Contents
1 Introduction 1
1.1 Background . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
1.2 Problem Description . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
1.2.1 Characteristics of Information Systems . . . . . . . . . . . . . . . . 2
1.2.2 Risk Analysis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
1.2.3 State of the Art . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4
1.3 Scientific Goals . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
1.4 Structure of the Thesis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7
2 Risk Analysis 9
2.1 The Concept of Risk . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
2.2 Classical System Analysis Methods . . . . . . . . . . . . . . . . . . . . . 13
2.2.1 Logic Tree Analysis . . . . . . . . . . . . . . . . . . . . . . . . . . 13
2.2.2 Tabular-based Methods . . . . . . . . . . . . . . . . . . . . . . . . 15
2.3 Modeling and Simulation . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
2.3.1 Random Number Models . . . . . . . . . . . . . . . . . . . . . . . 18
2.3.2 Discrete Event Models . . . . . . . . . . . . . . . . . . . . . . . . . 19
2.3.3 Continuous Time Models . . . . . . . . . . . . . . . . . . . . . . . 20
2.3.4 Risk Number Computation . . . . . . . . . . . . . . . . . . . . . . 20
2.4 Information Systems and Risk Analysis . . . . . . . . . . . . . . . . . . . 22
2.4.1 Information System . . . . . . . . . . . . . . . . . . . . . . . . . . 22
2.4.2 State of the Art in IS Risk Analysis . . . . . . . . . . . . . . . . . . 22
vii